(57)【要約】【課題】多数のサーバに搭載し運用するセキュリティポリシーファイルを効率よく運用して、セキュリティポリシーファイルの完全性を保つ。【解決手段】本発明では、多数のノードから構成される計算機システムにおいて、あるノード１（１０−１）が使用するセキュリティポリシーファイル（１０−１２−１）を、他の複数のノード２，３（１１−１，１２−１）にも配置する。ノード１（１０−１）は、セキュリティポリシーファイル（１０−１２−１）をアクセスする際、他のノード２，３（１１−１，１２−１）からセキュリティポリシーファイルを読み出し、該当する項目で多数決をとり、ファイル１０−７のアクセス制御を行う。この際、ノード１（１０−１）は、ソフトウェアの多数決処理部（１０−１３−３）で多数決処理を行うため、オーバヘッドを削減するために、並列実行、多数決のタイミングを考慮する。【選択図】図４
2007299184.tif 000002
【特許請求の範囲】
【請求項１】
複数のコンピュータであるノードをネットワークにより接続した計算機システムにおけるセキュリティポリシーファイルの保証方法において、
主ノードは自ノードに搭載しているアクセス制御のためのセキュリティポリシーファイルを複数の副ノードに書き込み、
上記主ノードが自ノードのセキュリティポリシーファイルをアクセスする際に、上記複数の副ノードのセキュリティポリシーファイルを読み出し、
読み出された上記複数の副ノードのセキュリティポリシーファイルに対して多数決処理を行い、
上記多数決処理によりセキュリティポリシーファイルの正常値を決定し、
上記決定された正常値に基づいて自ノードのリソースのアクセス制御を行うことを特徴とするセキュリティポリシーファイルの保証方法。
【請求項２】
上記主ノードはリソースのアクセス毎に、アクセスのあるリソースの重要度を判断し、
上記セキュリティポリシーファイルの多数決処理を実行してから一定時間を経過しているかどうかをチェックし、
上記一定時間を経過している場合に、上記セキュリティポリシーファイルの多数決処理を実行する際に、
重要リソースの場合には上記一定時間を短くし、あるいはゼロにして、上記重要リソースのアクセス毎に必ず上記多数決処理を実行するようにし、
上記重要リソースでない通常リソースの場合には上記一定時間を長くするようにして、
上記一定時間を変更する
ことを特徴とする請求項１に記載のセキュリティポリシーファイルの保証方法。
【請求項３】
多数決処理を実行する上記主ノードは、上記複数の副ノードにセキュリティポリシーファイルの読み出しを要求し、
上記主ノードは、上記複数の副ノードにセキュリティポリシーファイルの読み出しの要求と並行して、自身のセキュリティポリシーファイルを読み出し、
上記自身のセキュリティポリシーファイルにおいてリソースへのアクセス制御が許可されていれば、上記リソースの処理結果の確定の直前まで上記リソースへのアクセス制御を実行させ、
上記多数決処理の結果を参照する時点で上記リソースへのアクセス制御を待ち処理にすることを特徴とする請求項１に記載のセキュリティポリシーファイルの保証方法。
【請求項４】
上記主ノードは、上記リソースへのアクセス制御がファイルの読み出し処理の場合に、上記ファイルの読み出しを行い、上記ファイルをバッファに格納した時点が上記リソースの処理結果の確定時点であり、上記リソースの処理結果の確定時点で上記多数決処理の結果を待つようにし、
上記リソースへのアクセス制御がファイルの書き込み処理の場合に、上記ファイルをバッファに書き込んだ時点が上記リソースの処理結果の確定時点であり、上記リソースの処理結果の確定時点で、上記多数決の処理結果を待つようにすることを特徴とする請求項３に記載のセキュリティポリシーファイルの保証方法。
【請求項５】
上記主ノードが自ノードのセキュリティポリシーファイルを参照する際、上記主ノードは、上記複数の副ノードからセキュリティポリシーファイルを読み出し、上記セキュリティポリシーファイルの該当する項目の多数決処理を実行し、上記多数決処理の結果が過半数以上、あるいは一定数以上の値を正常値として、リソースのアクセス制御を行うことを特徴とする請求項３に記載のセキュリティポリシーファイルの保証方法。
【請求項６】
上記主ノードがセキュリティポリシーファイルの参照する際、上記セキュリティポリシーファイルの該当する項目数、上記項目中の値の上限と下限を含むセキュリティポリシーファイルのフォーマットを先にチェックすることを特徴とする請求項５に記載のセキュリティポリシーファイルの保証方法。
【請求項７】
上記主ノードは、上記主ノード及び上記複数の副ノード内の複数のＯＳ名、又は複数のＯＳのバージョン内の同種のＯＳ名又はＯＳのバージョン毎に多数決処理を実行し、上記多数決処理の結果の値をもとに更に異種のＯＳ名又はＯＳのバージョン間で多数決処理を実行することを特徴とする請求項１に記載のセキュリティポリシーファイルの保証方法。
【請求項８】
上記主ノードがセキュリティポリシーファイルの多数決処理を行う際、上記主ノードは、上記複数の副ノードのセキュリティポリシーファイルを受信した順に多数決処理を行い、上記多数決処理の途中で上記多数決処理の結果が過半数以上になると、これを正常値とし、上記多数決処理を終了させ、
上記複数の副ノードのうちの未受信のノードは上記多数決処理を実行してから一定時間を経過していると判断して、上記リソースのアクセス制御を行い、上記未受信のノードの多数決処理は、空き時間に行うことを特徴とする請求項１に記載のセキュリティポリシーファイルの保証方法。
【請求項９】
上記主ノードがセキュリティポリシーファイルの多数決処理を行う際、上記主ノードは、上記複数の副ノードの全てのセキュリティポリシーファイルを受信した後に多数決処理を行い、上記多数決処理の結果が過半数にならなければ、最大値となる値を正常値とすることを特徴とする請求項１に記載のセキュリティポリシーファイルの保証方法。
【請求項１０】
上記主ノードが多数決処理を行う際に、上記主ノードは、上記複数の副ノードのセキュリティポリシーファイルの改ざんを検出した場合には、該当するノード又はＯＳをリセットし、上記該当するノード又はＯＳにセキュリティポリシーファイルの改ざんを通知し、上記該当するノード又はＯＳ  からＯＳ名とバージョンを取得し、該当するＯＳ名とバージョンをチェックし、チェックの結果をシステムを管理するコンソールに通知することを特徴とする請求項７に記載のセキュリティポリシーファイルの保証方法。
【請求項１１】
上記セキュリティポリシーファイルには有効期限が設けられ、上記主ノード及び上記複数の副ノードはセキュリティポリシーファイルの有効期限に到達する前に、自セキュリティポリシーファイルを他のノードに送信することを特徴とする請求項１に記載のセキュリティポリシーファイルの保証方法。
【請求項１２】
上記主ノードは、上記複数の副ノードに対して、セキュリティポリシーファイルの書き込み中は、多数決処理を禁止することを特徴とする請求項１１に記載のセキュリティポリシーファイルの保証方法。
【請求項１３】
上記セキュリティポリシーファイルには、上記セキュリティポリシーファイルが変更されたかどうかを示す変更フラグを設け、上記セキュリティポリシーファイルが更新されていないときには、上記主ノード及び上記複数の副ノードは変更フラグを更新なし状態に設定して、自セキュリティポリシーファイルをチェックして、不正アクセスがあったかどうかチェックすることを特徴とする請求項１に記載のセキュリティポリシーファイルの保証方法。
【請求項１４】
上記主ノードは、上記複数の副ノードのうち上記不正アクセスがあったノード又はＯＳに格納されているセキュリティポリシーファイルを、多数決処理から排除して、多数決処理を行うことを特徴とする請求項１３に記載のセキュリティポリシーファイルの保証方法。
【請求項１５】
上記主ノードが上記複数の副ノードにセキュリティポリシーファイルを要求する際、
上記複数の副ノードに複数のＯＳが搭載され、複数のセキュリティポリシーファイルが所有されている場合には、
上記複数の副ノードは、上記複数のセキュリティポリシーファイルのデータをまとめて、上記主ノードに返送することを特徴とする請求項７に記載のセキュリティポリシーファイルの保証方法。
【請求項１６】
複数のコンピュータであるノードをネットワークにより接続した計算機システムにおいて、
複数のノードのうち主ノードと複数の副ノードを設け、
各ノードは、
中央プロセッサと、メモリと、入出力プロセッサと、ネットワークプロセッサと、ディスクコントローラと、ディスク装置とを有するハードウェア構成部と、
複数のオペレーティングシステムと、アクセス制御のための複数のセキュリティポリシーファイルと、セキュリティポリシーファイルの多数決処理を行う複数の多数決処理部と、複数の認証部と、複数のアプリケーションプログラムと、複数のオペレーティングシステムを同時に稼動する仮想化ソフトウェアとを有するソフトウェア部とを備え、
上記主ノードが自ノードのセキュリティポリシーファイルをアクセスする際に、上記副ノードのセキュリティポリシーファイルを読み出して、読み出された上記副ノードのセキュリティポリシーファイルの多数決処理により、正常値を決定し、上記正常値をもとに自ノードのリソースのアクセス制御を行うことを特徴とする計算機システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、本発明は、セキュアＯＳ（Operating System）を搭載したコンピュータシステムに関するものである。
【背景技術】
【０００２】
従来の高信頼化技術は、ハードウェア障害やソフトウェア障害が発生した際、いかにユーザに障害を隠すかという耐障害技術が中心であり、これによりコンピュータのハードウェアとソフトウェアの信頼性を向上させてきた。その後、不正アクセスや情報漏洩などの事件が増加しており、セキュリティ向上が要求されている。例えば、セキュリティポリシーファイルが改ざんされると、第三者にサーバが乗っ取られ、データ漏洩などの不正行為が行われる。
【０００３】
また、オープンソースであるＸｅｎなどをはじめとする仮想化ソフトが出現し、１台の計算機であるマシン上に容易に複数のＯＳをあたかも１つの計算機であるかのごとく稼動させることが容易になっている。
【０００４】
例えば、従来の耐障害システムに関する例では、多数のノードから構成されるクラスタ構成において、管理ノードが実行ノードの環境情報（プロセッサ使用状態、メモリ使用状態など）を取得し、これらの情報の多数決処理を行うことにより、あるいはデータとして発生しにくい統計的外れ値により、サーバの障害を検出しているものが知られている（特許文献１参照）。
【０００５】
また、計算機システムがセキュリティポリシーファイルを所有し、セキュリティポリシーファイル内のルール衝突を解決することにより、セキュリティを確保するものが知られている（特許文献２参照）。
【特許文献１】特開２００４−３５５２３３号公報
【特許文献２】特開２００４−３０３２４３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかし、上述した特許文献２に記載のセキュリティポリシーファイルは、不正アクセスなどにより改ざんされる可能性があり、このポリシーファイルが改ざんされると、第三者にサーバが乗っ取られ、データ漏洩などの不正行為が行われる。このため、現用サーバと待機サーバからなるホットスタンバイ方式によりデータのバックアップをとる方法があった。
【０００７】
また、現用サーバと待機サーバは同一構成なので、同時に不正侵入されやすく、両方のサーバで不正侵入された場合には、セキュリティポリシーファイルが改ざんされると、セキュリティポリシーファイルは回復できないという不都合があった。
【０００８】
このように、セキュアＯＳでは、計算機システムのリソースのアクセス権をチェックするために、セキュリティポリシーファイルを使用していたが、セキュリティポリシーファイルが改ざんされると、不正アクセスや情報漏えいが発生するため、この発明は、セキュリティポリシーファイルの完全性（データが正しい状態に保たれること）の向上が要求されている。
【０００９】
そこで、本発明が解決しようとする課題は、セキュアＯＳがリソースのアクセス制御を行う際に使用するセキュリティポリシーファイルの完全性を保つことを目的とするものである。
【課題を解決するための手段】
【００１０】
上記課題を解決し、本発明の目的を達成するため、本発明では、多数のノードから構成される計算機システムにおいて、主ノードがセキュリティポリシーファイルを更新する際、複数の副ノードにもこのセキュリティポリシーファイルを転送する。主ノードが、セキュリティポリシーファイルをアクセスする際、複数の副ノードからポリシーファイルを読み出し、該当する項目で多数決をとり、リソースのアクセス制御を行う。これにより、セキュリティポリシーファイルが改ざんされても、多数決処理により、正常な値に復旧でき、セキュリティポリシーファイルの完全性を向上させることが可能となる。
【発明の効果】
【００１１】
本発明によると、任意の主ノードのセキュリティポリシーファイルが改ざんされても、他の複数の副ノードが所有する残りのセキュリティポリシーファイルと多数決処理を行うことにより、正常な値に復旧でき、セキュリティポリシーファイルの完全性を向上させることが可能となる。
【発明を実施するための最良の形態】
【００１２】
以下、本発明の実施の形態例を図面に基づいて説明する。
図１は本発明におけるシステム構成図である。図１において、本発明が対象とするシステムは、コンピュータであるノード（１０−１、１１−１、１２−１）、ネットワーク（２０）及びシステムを管理するコンソール（２１）から構成される。ノード１（１０−１）、ノード２（１１−１）、ノード３（１２−１）とコンソール（２１）は、ネットワーク（２０）により接続される。コンソール（２１）では、改ざん情報を蓄積する。
【００１３】
図２はノードの構成図である。この図２では、ノード１（１０−１）のハードウェア構成とソフトウェア構成を説明する。
図２において、ノード１（１０−１）のハードウェア構成は、ＣＰＵ（Central Processing Unit）（１０−２）、メモリ（１０−３）、ＩＯＰ（input/output Processor）（１０−４）、ＮＩＣ（Network Interface Controller）（１０−５）、ディスクコントローラ（１０−６）およびディスク装置（１０−７）から構成される。
【００１４】
ノード１（１０−１）のソフトウェア構成は、複数のＯＳをあたかも１つの計算機であるかのごとく同時に稼動する仮想化ソフト（１０−１０）、ＯＳ（Operating System）（１０−１１−１、１０−１１−２、１０−１１−３）、セキュリティポリシーファイル（１０−１２−１、１０−１２−２、１０−１２−３）、多数決処理部（１０−１３−１、１０−１３−２、１０−１３−３）、認証部（１０−１４−１、１０−１４−２、１０−１４−３）及びアプリケーションプログラム（ＡＰ）から構成される。アプリケーションプログラム（ＡＰ）は、ＡＰ１（１０−１５−１）、ＡＰ２（１０−１５−２）、ＡＰ３（１０−１５−３）から構成される。
他のノード２（１１−１）、ノード３（１２−１）のハードウェア構成とソフトウェア構成は、ノード１（１０−１）と同一の構成である。
【００１５】
以下、ノード１（１０−１）を主ノードとして、ノード２（１１−１）、ノード３（１２−１）を副ノードとする例について説明する。主ノード１（１０−１）はアクセス制御のため、セキュリティポリシーファイル（１０−１２−１）を所有し、副ノード２（１１−１）、３（１２−１）からセキュリティポリシーファイル（１０−１２−２、１０−１２−３）を受信して多数決処理を行う。
【００１６】
副ノード２（１１−１）、３（１２−１）は主ノード１（１０−１）のセキュアポリシーファイル（１０−１２−１）を所有し、主ノード１（１０−１）から要求されるとセキュリティポリシーファイル（１０−１２−２、１０−１２−３）を主ノード１（１０−１）に送信する。
【００１７】
図３はセキュリティポリシーファイル（１０−１２）を示す図である。本実施の形態例では、リソースとしてファイルを例にしたセキュリティポリシーファイルについて説明する。
図３において、セキュリティポリシーファイル（１０−１２）では、各ＡＰ（１０−１５）がファイルへのアクセス許可をしているか、そうでないかのアクセス許可状態を示す。各ファイルのアクセス可否状態におけるアクセス制御は以下の通りである。
【００１８】
図３に示すｒｗはリード／ライト可能（この値は０１）とし、ｒはリードのみ可能（この値は０２）とし、ｒｗｄはリード／ライト／削除可能（この値は０３）とし、ｎはアクセス不可（この値は０４）とする。
ＡＰ１（１０−１５−１）では、ファイルＡ１１（３０）はリード／ライト可能であり、ファイルＡ１２（３１）は、リード／ライト／削除可能であり、ファイルＢ１１（３２）とファイルＢ１２（３３）はリードのみ可能であり、ファイルＣ１１（３４）とファイルＣ１２（３５）はアクセス不可である。
【００１９】
ＡＰ２（１０−１５−２）では、ファイルＡ１１（３０）とファイルＡ１２（３１）はアクセス不可であり、ファイルＢ１１（３２）はリード／ライト可能であり、ファイルＢ１２（３３）はリード／ライト／削除可能であり、ファイルＣ１１（３４）とファイルＣ１２（３５）はリードのみ可能である。
ＡＰ３（１０−１５−３）では、ファイルＡ１１（３０）とファイルＡ１２（３１）はリード可能であり、ファイルＢ１１（３２）とファイルＢ１２（３３）はアクセス不可であり、ファイルＣ１１（３４）はリード／ライト可能であり、ファイルＣ１２（３５）はリード／ライト／削除可能である。
【００２０】
図４は本発明のセキュリティポリシーファイルの保証処理の概要を示す図である。以下、単に、主ノードをノード１（１０−１）、副ノードをノード２（１１−１）とノード３（１２−１）として説明する。図４において、まず、ノード１（１０−１）がノード２（１１−１）とノード３（１２−１）に、セキュリティポリシーファイル（１０−１２−１）を書き込み処理を行う際の処理について説明する。
【００２１】
ノード１（１０−１）は、ノード２（１１−１）と認証処理（処理４０−０）を行い、ノード２（１１−１）にセキュリティポリシーファイル（１０−１２−１）を送信し、セキュリティポリシーファイル（１１−１２−１）を書き込む（処理４１−０）。同様に、ノード１（１０−１）は、ノード３（１２−１）と認証処理（処理４０−１）を行い、ノード３（１２−１）にセキュリティポリシーファイル（１０−１２−１）を送信し、セキュリティポリシーファイル（１２−１２−１）を書き込む（処理４１−１）。
【００２２】
次に、ノード１（１０−１）が、セキュリティポリシーファイル（１０−１２−１）を読み出す場合について説明する。ノード１（１０−１）は、自身のセキュリティポリシーファイル（１０−１２−１）を読み出す。これと並行して、ノード１（１０−１）は、ノード２（１１−１）とノード３（１２−１）にセキュリティポリシーファイルを要求する。
【００２３】
ノード１（１０−１）は、ノード２（１１−１）からセキュリティポリシーファイル（１１−１２−１）を受信し（処理４２−０）。同様に、ノード３（１２−１）からセキュリティポリシーファイル（１２−１２−１）を受信する（処理４２−１）。
【００２４】
そして、ノード１（１０−１）は、セキュリティポリシーファイルを用いて、項目毎に多数決処理を実行する（処理４３）。これにより、ノード１（１０−１）は、多数決の結果を正常な値として、ＡＰ１（１０−１５−１）はファイル１０−７に対するアクセス制御を行う（処理４４）。ノード１（１０−１）は、セキュリティポリシーファイルの値が異なっていれば、正しい値に修正する。
【００２５】
以下、図５以降で詳細な処理手順を示す。
図５は、セキュリティポリシーファイルの書き込み処理を示す図である。図５において、ノード１（１０−１）は、セキュリティポリシーファイルの更新が発生すると、あるいはセキュリティポリシーファイルの有効時間切れになると（Ｔ１００時点）、多数決処理を、実行禁止とする（Ｔ１０１時点）。そして、ノード１（１０−１）は、ノード２（１１−１）とノード３（１２−１）にセキュリティポリシーファイルの書き込みを要求する（Ｔ１０２時点）。
【００２６】
ノード２（１１−１）とノード３（１２−１）は、それぞれセキュリティポリシーファイルをチェックする。ノード２（１１−１）とノード３（１２−１）は、チェック処理の結果が正常ならば、セキュリティポリシーファイルの書き込みを行う（Ｔ１１０、Ｔ１１１時点）。この内容の詳細は、後述する図６に示す。最後に、ノード２（１１−１）とノード３（１２−１）は、書き込み完了を、ノード１（１０−１）に通知する。
【００２７】
ノード１（１０−１）は、セキュリティポリシーファイルの書き込み完了を受信すると、多数決処理を開始可能とする（Ｔ１２０時点）。最後に、ノード１（１０−１）は、多数決処理の禁止処理を解除する（Ｔ１２１時点）。
【００２８】
図６は、セキュリティポリシーファイルのチェックと書き込み処理の詳細な処理内容を示す図である。図６は、図５に示したノード２（１１−１）とノード３（１２−１）が、セキュリティポリシーファイルの書き込みを行う（Ｔ１１０、Ｔ１１１）  処理の詳細を示すものである。
【００２９】
図６において、ノード２（１１−１）とノード３（１２−１）は、それぞれの認証部（１１−１４−１、１２−１４−１）が、ノード１（１０−１）からセキュリティポリシーデータを受信したかどうかチェックする（ステップＳ１５０）。判断ステップＳ１５０でノード１（１０−１）からのセキュリティポリシーデータでなければ、ノード２（１１−１）とノード３（１２−１）は、ノード１にセキュリティポリシーデータの再送を要求する（ステップＳ１５１）。
【００３０】
判断ステップＳ１５０でノード１（１０−１）からのセキュリティポリシーデータの場合、ノード２（１１−１）とノード３（１２−１）は、セキュリティポリシーデータに更新発生があるか、あるいはセキュリティポリシーデータの有効時間切れかを判定する（ステップＳ１６０）。
【００３１】
判断ステップＳ１６０でセキュリティポリシーデータの更新発生１６１の場合、ノード２（１１−１）とノード３（１２−１）は、セキュリティポリシーファイルを書き込む（ステップＳ１７４）。判断ステップＳ１６０でセキュリティポリシーデータの有効時間切れ１６２の場合、ノード２（１１−１）とノード３（１２−１）は、セキュリティポリシーデータを前回のものと比較する（ステップＳ１７０）。
【００３２】
判断ステップＳ１７０でセキュリティポリシーデータを前回のものが一致していれば（１７２）、ノード２（１１−１）とノード３（１２−１）は、セキュリティポリシーファイルを書き込む（ステップＳ１７４）。判断ステップＳ１７０でセキュリティポリシーデータを前回のものが一致していなければ（１７１）、ノード２（１１−１）とノード３（１２−１）は、改ざん発生をコンソールに通知する（ステップＳ１７３）。
【００３３】
次に、セキュリティポリシーファイルの多数決処理について説明する。ＡＰがアクセスするファイルを、重要ファイルと通常ファイルに分類して、ソフトウェアで多数決処理を行う。このため、オーバヘッドが小さくなるように、多数決処理の頻度を下げ、多数決処理の起動タイミングを説明する。
【００３４】
図７は、多数決処理の起動タイミングを示す図であり、図７Ａはケース１、ケース２、図７Ｂはケース３、ケース４である。
ここでは、重要ファイルと通常ファイルに分けて説明する。ノード１（１０−１）は、タイムアウト時間として、Ｔ１（２０１）とＴ２（２０２）を設定する。Ｔ１（２０１）の時間はＴ２（２０２）より小さく設定する。Ｔ１（２０１）は、重要ファイルの多数決処理のタイムアウト時間である。Ｔ２（２０２）は、通常ファイルの多数決処理のタイムアウト時間である。重要ファイルの多数決処理のタイムアウト時間Ｔ１（２０１）は、通常ファイルの多数決処理のタイムアウト時間Ｔ２（２０２）よりも短く設定される。
【００３５】
まず、図７Ａにおいて、ケース１（２１０）とケース２（２２０）について説明する。これらのケース１，２（２１０、２２０）では、重要ファイルの多数決処理のタイミングについて説明する。ケース１（２１０）では、最後の多数決処理（２１１）が終了して、Ｔ１（２０１）時間経過していると、ノード１（１０−１）は、多数決処理を実行する（２１２）。ケース２（２２０）では、最後の多数決処理（２２１）が終了して、Ｔ１（２０１）時間内では、あまり時間が経過していないため、ノード１（１０−１）は、多数決処理は実行しない（２１２）。
【００３６】
次に、図７Ｂにおいて、ケース３（２３０）とケース４（２４０）について、説明する。これらのケース３，４（２３０、２４０）では、通常ファイルの多数決処理のタイミングについて説明する。ケース３（２３０）では、最後の多数決処理（２３１）が終了して、Ｔ２（２０２）時間経過していないため、ノード１（１０−１）は、多数決処理は実行しない（２３２）。ケース４（２４０）では、最後の多数決処理（２４１）が終了して、Ｔ２（２０２）時間経過しているため、ノード１（１０−１）は、多数決処理を実行する（２４２）。
【００３７】
ここでは、ファイルを重要度により２種類に分類した。これを、３種類以上に分類すること、あるいは異なった分類方法で、分類することも可能であり、適宜、タイムアウト時間の長短を設定すればよい。
【００３８】
図８は、セキュリティポリシーファイルの多数決処理を示す図である。
図８において、ノード１（１０−１）は、ファイルのアクセス要求があると、多数決処理を起動する（Ｔ３００時点）。ノード１（１０−１）は、ノード２（１１−１）とノード３（１２−１）に対して、セキュリティポリシーファイルの読み出しを要求する（Ｔ３０１時点）。
【００３９】
ノード２（１１−１）とノード３（１２−１）は、それぞれセキュリティポリシーファイルをノード１（１０−１）に送信する（Ｔ３１０時点）。ノード１（１０−１）はセキュリティポリシーファイルを受信する（Ｔ３２０時点）。ノード１（１０−１）は一定時間以内に、ポリシーファイルの多数決処理を行う（３２１時点）。最後に、ノード１（１０−１）はファイルのアクセスを行う（Ｔ３２２時点）。
【００４０】
図９から図１２は、セキュリティポリシーファイルの保証処理の全体の処理手順を示すフローチャートである。図９から図１２を用いて全体の処理手順を説明するが、ここでは、特に、リソースとして、ファイルの読み出しを例にして説明する。
【００４１】
まず、図９において、ノード１（１０−１）はファイルへのアクセスを要求する（ステップＳ５００）。次に、ノード１（１０−１）はこのリソースに関して、ファイルが重要ファイルであるがどうかチェックする（ステップＳ５０１）。判断ステップＳ５０１でファイルが通常ファイルの場合、最後の多数決処理が終了してＴ２（２０２）時間経過したかどうかチェックし（ステップＳ５４０）、判断ステップＳ５４０でＴ２（２０２）時間経過していれば、図１０のステップＳ６００にジャンプする（５４１）。
【００４２】
判断ステップＳ５０１でファイルが重要ファイルの場合、最後の多数決処理が終了してＴ１（２０１）時間経過したかどうかチェックし（ステップＳ５１０）、判断ステップＳ５１０でＴ１（２０１）時間経過していれば、図１０のステップＳ６００にジャンプする（５１１）。しかし、判断ステップＳ５１０でＴ１（２０１）時間経過していなければ、ノード１（１０−１）は、多数決処理は行わないで、自身のセキュリティポリシーファイル（１０−１２−１）を読み出す（ステップＳ５２０）。
【００４３】
このとき、ノード１（１０−１）は、該当するファイルのアクセス権が許可されているかどうかチェックし（ステップＳ５３０）、判断ステップＳ５３０でファイルのアクセス権が許可されている場合、ノード１（１０−１）は、ファイルの読み出しを行う（ステップＳ５３１）。判断ステップＳ５３０で該当するファイルのアクセス権が許可されていない場合、ノード１（１０−１）は、ファイルの読み出し不可を通知する（ステップＳ５３２）。
【００４４】
図１０では、ノード１（１０−１）が重要ファイルをアクセスする際、最終の多数決処理からＴ１（２０１）時間した経過した場合の処理、あるいは通常ファイルをアクセスする際、最終の多数決処理からＴ２（２０２）時間した経過した場合について説明する。
【００４５】
図１０において、ノード１（１０−１）は、ノード２（１０−２）とノード３（１０−３）にセキュリティポリシーファイルの読み出しを要求する（ステップＳ６００）。これと並行して、ノード１（１０−１）は、自ノード１（１０−１）のセキュリティポリシーファイル（１０−１２−１）を読み出す（ステップＳ６０１）。ノード１（１０−１）は、自ノード１（１０−１）のセキュリティポリシーファイル（１０−１２−１）がアクセス許可されているかチェックする（ステップＳ６１０）。
【００４６】
判断ステップＳ６１０でアクセスが許可されている場合、ノード１（１０−１）は、ファイルをバッファに読み出し（ステップＳ６１２）、ノード２（１０−２）とノード３（１０−３）からセキュリティポリシーファイルの読み出しの応答を待ち合わせる（ステップＳ６１３）。判断ステップＳ６１０でアクセスが許可されていない場合、ノード１（１０−１）は、直ちにノード２（１０−２）とノード３（１０−３）からセキュリティポリシーファイルの読み出しの応答を待ち合わせる（ステップＳ６１３）。
【００４７】
そしてノード１（１０−１）は、ステップＳ６１３でノード２（１０−２）とノード３（１０−３）からセキュリティポリシーファイルを受信すると、多数決処理を行う（ステップＳ６２０）。
ノード１（１０−１）は、多数決処理の結果、アクセス許可（この場合、ファイルの読み出し可）されているかチェックする（ステップＳ６３０）。判断ステップＳ６３０でアクセス許可ならば、ノード１（１０−１）は、ファイルを読み出す。
【００４８】
この場合、ノード１（１０−１）は、既にファイルがバッファにあればバッファから読み出し、ファイルがバッファになければ、ディスクから読み出す（ステップＳ６３２）。判断ステップＳ６３０で該当するファイルのアクセス権が許可されていない場合、ファイルの読み出し不可をアクセス元に通知する（ステップＳ６３１）。
【００４９】
図１１は、ノード１（１０−１）がバックグラウンドでＣＰＵ１０−２が空いている時に行う処理である。図１１は、ノード１（１０−１）がノード２（１０−２）とノード３（１０−３）からセキュリティポリシーファイルを受信する際に、タイムアウトにより、受信できなかたもの、改ざんされていたものを修正する処理である。
【００５０】
ノード１（１０−１）は、受信したセキュリティポリシーファイルは正常かどうかチェックする（ステップＳ６５０）。判断ステップＳ６５０で正常でないセキュリティポリシーファイルがあれば、ノード１（１０−１）は、多数決処理で求めた正常値をもとに、セキュリティポリシーファイルを修正する（ステップＳ６５１）。
【００５１】
判断ステップＳ６５０で受信したセキュリティポリシーファイルは正常なとき、及びステップＳ６５１でセキュリティポリシーファイルを修正した後には、ノード１（１０−１）は、全てのセキュリティポリシーファイルを受信したか否かをチェックする（ステップＳ  ６６０）。判断ステップＳ６６０で全てのセキュリティポリシーファイルを受信していれば終了する（６６１）。
【００５２】
判断ステップＳ６６０で全てのセキュリティポリシーファイルを受信していなければ、ノード１（１０−１）は、全てのセキュリティポリシーファイルを受信するまで待つ（ステップＳ６６２）。ノード１（１０−１）は、受信したセキュリティポリシーファイルは正常かどうかチェックする（ステップＳ６７０）。
【００５３】
判断ステップＳ６７０で受信したセキュリティポリシーファイルが正常でなければ、ノード１（１０−１）は、多数決処理で求めた正常値をもとに、セキュリティポリシーファイルを修正する（ステップＳ６７２）。判断ステップＳ６７０で受信したセキュリティポリシーファイルが正常なとき、及びステップＳ６７２でセキュリティポリシーファイルを修正した後に、ステップＳ６６０へ戻る。判断ステップＳ６６０で全てのセキュリティポリシーファイルを受信すれば、終了する。
【００５４】
図１２は、多数決処理の処理手順を示す図である。図１２は、図１０に示したステップＳ６２０の詳細図である。
図１２において、ノード１（１０−１）は、ノード２（１０−２）とノード３（１０−３）から受信したセキュリティポリシーファイルを読み出す（ステップＳ７００）。
【００５５】
ある主ノードとなるノード１（１０−１）が副ノードとなるノード２（１０−２）とノード３（１０−３）からセキュリティポリシーファイルを参照する際、項目数、値の上限と下限といったセキュリティポリシーファイルのフォーマットをチェックする（ステップＳ７０１）。
【００５６】
この場合、セキュリティポリシーファイルの項目数は、後述する図１３に示すように、ファイルＡ１１、ファイルＡ１２、ファイルＢ１１、ファイルＢ１２、ファイルＣ１１からファイルＣ１２まで６項目あるので、ノード１（１０−１）は、項目数が６以外であれば、異常であると判定する。また、値は、０１，０２、０３から０４なので、００あるいは０５以上の値があれば、ノード１（１０−１）は、セキュリティポリシーファイルは異常であると判定する。
【００５７】
ステップＳ７０１におけるチェックでセキュリティポリシーファイルのフォーマットが正しければ、ノード１（１０−１）は、多数決のために該当項目に対する集計値をカウントアップする（ステップＳ７０２）。ノード１（１０−１）は、ステップＳ７０２でカウントアップした集計値が過半数以上かどうかチェックする（ステップＳ７１０）。
【００５８】
判断ステップＳ７１０で集計値が過半数に達していなければ、ステップＳ７００へ戻って、ノード１（１０−１）は、再度セキュリティポリシーファイルを読み出す（７１１）。
判断ステップＳ７１０で集計値が過半数に達していれば、ノード１（１０−１）は、過半数に達した集計値を正常値と決定し、リソースのアクセス制御を行う（ステップＳ７１２）。
【００５９】
図１３は、セキュリティポリシーファイルを示す図であり、各ノード１〜３のセキュリティポリシーファイルの具体的な項目が示されている。
各ノード１，２，３（１０−１、１１−１、１２−１）に３種類のＯＳ（ＯＳ１（１０−１１−１、１１−１１−１、１２−１１−１）、ＯＳ２（１０−１１−２、１１−１１−２、１２−１１−２）、ＯＳ３（１０−１１−３、１１−１１−３、１２−１１−３）が搭載されている。
【００６０】
ノード１（１０−１）のＯＳ１（１０−１１−１）では、自身のノード１（１０−１）のＯＳ１（１０−１１−１）のセキュリティポリシーファイル（１０−１２−１）を他の全てのＯＳに所有させており、ノード１（１０−１）は、合計９個のセキュリティポリシーファイル（ＯＳ１：（１０−１２−１、１１−１２−１、１２−１２−１）、ＯＳ２：（１０−１２−２、１１−１２−２、１２−１２−２）、ＯＳ３：（１０−１２−３、１１−１２−３、１２−１２−３）をベースに多数決処理を実行する。
【００６１】
ここでは、全てのノード１，２，３（１０−１、１１−１、１２−１）のＯＳ２（１０−１１−２、１１−１１−２、１２−１１−２）において、（ＡＰ−１，ファイルＡ１１，０１）が（ＡＰ−１，ファイルＡ１１，０４）と改ざんされていると仮定する。
【００６２】
多数決方式として、量的多数決と質的多数決を説明する。量的多数決では、ノード１（１０−１）は、ＯＳの種類に依存しないで、セキュリティポリシーファイルに基づいた集計値の絶対数で多数決をとる。質的多数決では、ノード１（１０−１）は、ＯＳ毎にセキュリティポリシーファイルに基づいた集計値で多数決をとり、更にＯＳ間でセキュリティポリシーファイルに基づいた集計値で多数決をとる。以下に、量的多数決及び質的多数決の具体例について説明する。
【００６３】
図１４は、量的多数決方式の処理過程を示す図である。ここでは、図３に示したＡＰ１（１０−１５−１）がファイルＡ１１（３０）を読み出す処理について検討する。主ノード１（１０−１）は、まず自ノード１（１０−１）のＯＳ１（１０−１１−１）のセキュリティポリシーファイルを読み出し、以下、自ノード１（１０−１）の他のＯＳ２（１０−１１−２）、ＯＳ３（１０−１１−２）、副ノード２（１１−１）のＯＳ１（１１−１１−１）、ＯＳ２（１１−１１−２）、ＯＳ３（１１−１１−３）、副ノード３（１２−１）のＯＳ１（１２−１１−１）、ＯＳ２（１２−１１−２）、ＯＳ３（１２−１１−３）の順に、各セキュリティポリシーファイルを受信する。以下、単に、主ノードをノード１（１０−１）、副ノードをノード２（１１−１）、ノード３（１２−１）として説明する。
【００６４】
図１４に時刻０（５０）から時刻７（５７）までを示すが、これは主ノード１（１０−１）がセキュリティポリシーファイルを受信し、多数決処理を行う時刻とする。以下、時刻毎に説明する。図１４では、変更箇所を太字で示す。
【００６５】
図１４において、時刻０（５０）は初期状態とする。時刻１（５１）では、ノード１（１０−１）は、ノード１（１０−１）のＯＳ１（１０−１１−１）の図１３に示したセキュリティポリシーファイル（１０−１２−１）を読み出す。このファイルＡ１１のセキュリティポリシーの値は０１なので、ノード１（１０−１）は、値０１をカウントアップ（＋１）する（処理５１−１）。
【００６６】
時刻２（５２）では、ノード１（１０−１）は、ノード１（１０−１）のＯＳ２（１０−１１−２）から図１３に示したセキュリティポリシーファイル（１０−１２−２）を受信する。このファイルＡ１１のセキュリティポリシーの値は０４なので、ノード１（１０−１）は、値０４をカウントアップ（＋１）する（処理５２−１）。
【００６７】
時刻３（５３）では、ノード１（１０−１）は、ノード１（１０−１）のＯＳ３（１０−１１−２）のセキュリティポリシーファイル（１０−１２−３）を受信する。このファイルＡ１１のセキュリティポリシーの値は、０１なので、ノード１（１０−１）は、値０１をカウントアップ（＋１）し、値０１は合計２となる（処理５３−１）。
【００６８】
時刻４（５４）では、ノード１（１０−１）は、ノード２（１１−１）のＯＳ１（１１−１１−１）のセキュリティポリシーファイル（１１−１２−１）を受信する。このファイルＡ１１のセキュリティポリシーの値は、０１なので、ノード１（１０−１）は、値０１をカウントアップ（＋１）し、値０１は合計３となる（処理５４−１）。
【００６９】
時刻５（５５）では、ノード１（１０−１）は、ノード２（１１−１）のＯＳ２（１１−１１−２）のセキュリティポリシーファイル（１１−１２−２）を受信する。このファイルＡ１１のセキュリティポリシーの値は、０４なので、ノード１（１０−１）は、値０４をカウントアップ（＋１）し、値０４は合計２となる（処理５５−１）。
【００７０】
時刻６（５６）では、ノード１（１０−１）は、ノード２（１１−１）のＯＳ３（１１−１１−３）のセキュリティポリシーファイル（１１−１２−３）を受信する。このファイルＡ１１のセキュリティポリシーの値は、０１なので、ノード１（１０−１）は、値０１をカウントアップ（＋１）し、値０１は合計４となる（処理５６−１）。
【００７１】
時刻７（５７）では、ノード１（１０−１）は、ノード３（１２−１）のＯＳ１（１２−１１−１）のセキュリティポリシーファイル（１２−１２−１）を受信する。このファイルＡ１１のセキュリティポリシーの値は、０１なので、ノード１（１０−１）は、値０１をカウントアップ（＋１）し、値０１は合計５となる（処理５７−１）。
【００７２】
この時点で、ノード１（１０−１）は、ノード３（１２−１）のＯＳ２（１２−１１−２）とＯＳ３（１２−１１−３）からは、セキュリティポリシーファイル（１２−１２−２、１２−１２−３）は受信していないが、値０１は合計数９に対する過半数（５）となるので、ノード１（１０−１）は、正常値を０１として決定する。これは、図１２の正常値決定処理（ステップＳ７１２）に対応する。
【００７３】
その後、ノード１（１０−１）は、図４に示したファイル１０−７からファイルＡ１１の読み出し処理を行う。これは、図１０のファイル読み出し処理（ステップＳ６３２）に対応する。
更に、ノード１のＯＳ２（１０−１１−２）、ノード２のＯＳ２（１１−１１−１）のセキュリティポリシーファイル（１０−１２−２、１１−１２−２）は、改ざんされていたので、ノード１（１０−１）は、値を０４から０１に修正する。これは、図１１のセキュリティポリシーファイル修正処理（ステップＳ６５１）に対応する。
【００７４】
最後に、ノード１（１０−１）は、ノード３（１２−１）のＯＳ２（１２−１１−２）とＯＳ３（１２−１１−３）のセキュリティポリシーファイル（１２−１２−２、１２−１２−３）を受信し、正常かどうかチェックする。これは、図１１のセキュリティポリシーファイル受信待ち処理、受信セキュリティポリシーファイル正常判断（ステップＳ６６２、ステップＳ６７０）に対応する。
【００７５】
ノード３（１２−１）のＯＳ２（１２−１１−２）のセキュリティポリシーファイル（１２−１２−２）は改ざんされているので、ノード１（１０−１）は、値を０４から０１に修正する。これは、図１１のセキュリティポリシーファイル修正処理（ステップＳ６７２）に対応する。ノード３（１２−１）のＯＳ３（１２−１１−３）のセキュリティポリシーファイル（１２−１２−３）は、正常なので、ノード１（１０−１）は、何もしない。これは、図１１の受信セキュリティポリシーファイル正常処理（６７１）に対応する。
【００７６】
図１５は、質的多数決方式の処理過程を示す図である。ここでも、図１４の説明と同様に、図３に示したＡＰ１（１０−１５−１）がファイルＡ１１（３０）を読み出す処理について検討する。ノード１（１０−１）は、まずノード１（１０−１）のＯＳ１（１０−１１−１）のセキュリティポリシーファイル（１０−１２−１）を読み出す。
【００７７】
そして、以下、ノード１（１０−１）は、ノード１（１０−１）のＯＳ２（１０−１１−２）、ＯＳ３（１０−１１−３）、ノード２（１１−１）のＯＳ１（１１−１１−１）、ＯＳ２（１１−１１−２）、ＯＳ３（１１−１１−３）、ノード３（１２−１）のＯＳ１（１２−１１−１）、ＯＳ２（１２−１１−２）、ＯＳ３（１２−１１−３）の順に、各セキュリティポリシーファイルを受信する。
【００７８】
図１５に時刻０（６０）から時刻６（６６）を示すが、これはノード１（１０−１）がセキュリティポリシーファイルを受信し、多数決処理を行う時刻とする。以下、時刻毎に説明する。図１５では、変更箇所を太字で示す。各時刻欄の上段はＯＳ内のカウント値であり、下段はＯＳ間のカウント値である。
【００７９】
時刻０（６０）は初期状態とする。時刻１（６１）では、ノード１（１０−１）のＯＳ１（１０−１１−１）のセキュリティポリシーファイル（１０−１２−１）を読み出す。時刻１（６１）では、このファイルＡ１１のセキュリティポリシーの値は、０１なので、ノード１（１０−１）は、ＯＳ１（１０−１１−１）に関して、値０１をカウントアップ（＋１）する（処理６１−１）。
【００８０】
時刻２（６２）では、ノード１（１０−１）は、ノード１（１０−１）のＯＳ２（１０−１１−２）のセキュリティポリシーファイル（１０−１２−３）を受信する。このファイルＡ１１のセキュリティポリシーの値は、０４なので、ノード１（１０−１）は、ＯＳ２（１０−１１−２）に関して、値０４をカウントアップ（＋１）する（処理６２−１）。
【００８１】
時刻３（６３）では、ノード１（１０−１）は、ノード１（１０−１）のＯＳ３（１０−１１−３）のセキュリティポリシーファイル（１０−１２−３）を受信する。このファイルＡ１１のセキュリティポリシーの値は、０１なので、ノード１（１０−１）は、ＯＳ３（１０−１１−３）に関して、値０１をカウントアップ（＋１）する（処理６３−１）。
【００８２】
時刻４（６４）では、ノード１（１０−１）は、ノード２（１１−１）のＯＳ１（１１−１１−１）のセキュリティポリシーファイル（１１−１２−１）を受信する。このファイルＡ１１のセキュリティポリシーの値は、０１なので、ノード１（１０−１）は、値０１をカウントアップ（＋１）し、値０１は合計２となる（処理６４−１）。ここで、ＯＳ１（１０−１１−１、１１−１１−１、１２−１１−１）に関して、合計値３に対して過半数の２に達したので、ノード１（１０−１）は、ＯＳ間のカウント値を１とする（処理６４−２）。
【００８３】
時刻５（６５）では、ノード１（１０−１）は、ノード２（１１−１）のＯＳ２（１１−１１−２）のセキュリティポリシーファイル（１１−１２−２）を受信する。このファイルＡ１１のセキュリティポリシーの値は０４なので、ノード１（１０−１）は、値０４をカウントアップ（＋１）し、値０４は合計２となる（処理６５−１）。ここで、ＯＳ２（１０−１１−２、１１−１１−２、１２−１１−２）に関して、合計値３に対して過半数の２に達したので、ＯＳ間のカウント値を１とする（処理６５−２）。
【００８４】
時刻６（６６）では、ノード１（１０−１）は、ノード２（１１−１）のＯＳ３（１１−１１−３）のセキュリティポリシーファイル（１１−１２−３）を受信する。このファイルＡ１１のセキュリティポリシーの値は、０１なので、ノード１（１０−１）は、値０１をカウントアップ（＋１）し、値０１は合計２となる（処理６６−１）。ここで、ＯＳ３（１０−１１−３、１１−１１−３、１２−１１−３）に関して、合計値３に対して過半数の２に達したので、ノード１（１０−１）は、ＯＳ間のカウント値をカウントアップ（＋１）し、ＯＳ間のカウント値を合計２とする（処理６６−２）。
【００８５】
この時点で、ノード１（１０−１）は、ノード３（１２−１）のＯＳ１、ＯＳ２、ＯＳ３（１２−１１−１、１２−１１−２、１２−１１−３）からセキュリティポリシーファイル（１２−１２−１、１２−１２−２、１２−１２−３）を受信していないが、合計値３に対して過半数（２）となるので、正常値を０１として決定する。これは、図１２の正常値決定処理（ステップＳ７１２）に対応する。
【００８６】
その後、ノード１（１０−１）は、図４に示したファイル１０−７からファイルＡ１１の読み出し処理を行う。これは、図１０のファイル読み出し処理（ステップＳ６３２）に対応する。
更に、ノード１（１０−１）のＯＳ２（１０−１１−２）、ノード２（１１−１）のＯＳ２（１１−１１−２）のセキュリティポリシーファイル（１０−１２−２、１１−１２−２）は、改ざんされていたので、ノード１（１０−１）は、ファイルＡ１１の値を０４から０１に修正する。これは、図１１のセキュリティポリシーファイル修正処理（ステップＳ６５１）に対応する。
【００８７】
最後に、ノード１（１０−１）は、ノード３（１２−１）のＯＳ１、ＯＳ２、ＯＳ３（１２−１１−１、１２−１１−２、１２−１１−３）のセキュリティポリシーファイル（１２−１２−１、１２−１２−２、１２−１２−３）を受信し、正常かどうかチェックする。これは、図１１のセキュリティポリシーファイル受信待ち処理、受信セキュリティポリシーファイル正常判断（ステップＳ６６２、ステップＳ６７０）に対応する。
【００８８】
ノード１（１０−１）は、ノード３（１２−１）のＯＳ２（１２−１１−２）のセキュリティポリシーファイル（１２−１２−２）は改ざんされているので、値を０４から０１に修正する。これは、図１１のセキュリティポリシーファイル修正処理（ステップＳ６７２）に対応する。ノード１（１０−１）は、ノード３（１２−１）のＯＳ１（１２−１１−１）とＯＳ３（１２−１１−３）のセキュリティポリシーファイル（１２−１２−１、１２−１２−３）は正常なので、何もしない。これは、図１１の受信セキュリティポリシーファイル正常処理（６７１）に対応する。
【００８９】
ここではノード１（１０−１）に対してノード２（１１−１）、ノード３（１２−１）から個別にセキュリティポリシーファイルを送る例を示したが、ノード２（１１−１）、ノード３（１２−１）内で、上述と同様の多数決処理を行って、その結果をまとめてノード１（１０−１）に対して送信することも可能である。
【００９０】
上述した本実施の形態に限らず、本発明の要旨を逸脱しない限り、適宜発明の構成を変更しうることはいうまでもない。
【００９１】
セキュアＯＳでは、不正アクセスやデータ漏洩を防止するために、セキュリティポリシーファイルは改ざんされていないという完全性が要求されている。本発明では、セキュリティポリシーファイルを複数のノードに分散させて、アクセス時には多数決処理を行うため、セキュアＯＳの必須機能となる。
【図面の簡単な説明】
【００９２】
【図１】本発明におけるシステム構成図である。
【図２】ノードの構成図である。
【図３】セキュリティポリシーファイルを示す図である。
【図４】本発明のセキュリティポリシーファイルの保証処理の処理概要を示す図である。
【図５】セキュリティポリシーファイルの書き込み処理を示す図である。
【図６】セキュリティポリシーファイルのチェックと書き込み処理の詳細な処理内容を示すふっローチャートである。
【図７】多数決処理の起動タイミングを示す図であり、図７Ａはケース１、ケース２、図７Ｂはケース３、ケース４である。
【図８】セキュリティポリシーファイルの多数決処理を示す図である。
【図９】セキュリティポリシーファイルの保証処理の全体の処理手順を示すフローチャートである。
【図１０】セキュリティポリシーファイルの保証処理の全体の処理手順を示すフローチャートである。
【図１１】セキュリティポリシーファイルの保証処理の全体の処理手順を示すフローチャートである。
【図１２】多数決処理の処理手順を示すフローチャートである。
【図１３】セキュリティポリシーファイルを示す図である。
【図１４】量的多数決方式の処理過程を示す図である。
【図１５】質的多数決方式の処理過程を示す図である。
【符号の説明】
【００９３】
１０−１，１１−１，１２−１・・・ノード、１，２，３，２０・・・ネットワーク、２１・・・コンソール、１０−２・・・ＣＰＵ、１０−３・・・メモリ、１０−４・・・ＩＯＰ、１０−５・・・ＮＩＣ、１０−６・・・ディスクコントローラ、１０−７・・・ディスク装置、１０−１０・・・仮想化ソフト、１０−１１−１，１０−１１−２，１０−１１−３・・・ＯＳ、１０−１２−１，１０−１２−２，１０−１２−３・・・セキュリティポリシーファイル、１０−１３−１，１０−１３−２，１０−１３−３・・・多数決処理部、１０−１４−１，１０−１４−２，１０−１４−３・・・認証部、１０−１５−１，１０−１５−２，１０−１５−３・・・アプリケーションプログラム（ＡＰ１，ＡＰ２，ＡＰ３）
【図１】
2007299184.tif 000003
【図２】
2007299184.tif 000004
【図３】
2007299184.tif 000005
【図４】
2007299184.tif 000006
【図５】
2007299184.tif 000007
【図６】
2007299184.tif 000008
【図７】
2007299184.tif 000009
【図８】
2007299184.tif 000010
【図９】
2007299184.tif 000011
【図１０】
2007299184.tif 000012
【図１１】
2007299184.tif 000013
【図１２】
2007299184.tif 000014
【図１３】
2007299184.tif 000015
【図１４】
2007299184.tif 000016
【図１５】
2007299184.tif 000017